Keystone宣布将销毁1.88万台设备，确认设备验证密钥遭泄露

contact@theblockbeats.org (律动BlockBeats)

10 月 26 日，硬件钱包品牌 Keystone 10 月 26 日发布安全事件公告称，其官网于 10 月 20 日遭遇安全事件。攻击者利用网站使用的第三方数据监控工具漏洞提升权限，获取部分客户信息及用于验证设备真伪的密钥。

此次事件涉及官网 Shopify 商店的 51,083 条购买记录，其中 25,964 条仍包含个人信息，涉及 2024 年至 2026 年的客户姓名、联系方式、收货地址及订单信息。此外，还有 12,873 条未完成付款的结账记录包含用户提交的个人信息。通过亚马逊及其他销售渠道购买的客户记录未受影响。

Keystone 表示，攻击者获取的设备认证密钥可能被用于制造能够通过真伪验证的假冒设备，但事件未涉及助记词、钱包私钥或其他钱包凭证，也未涉及银行支付信息及政府签发的身份证件号码。

作为应对措施，Keystone 将停用旧认证密钥，销毁库存中使用旧密钥的 18,835 台设备，并暂停官网未发货订单的配送，待采用新密钥的设备投产后恢复发货。公司同时将客户个人信息的保留期限从 180 天缩短至 90 天，并已向 Shopify 提交数据删除申请，预计于 11 月 3 日完成相关删除流程。

Keystone 提醒，10 月 20 日之后收到且使用旧认证密钥的设备，即使通过认证，也无法完全排除假冒风险，用户应联系官方客服进一步核验。公司强调，用户无需仅因本次事件转移资产，并警惕以资产迁移、钱包验证或设备召回为由实施的诈骗。